Badacz ujawnia, w jaki sposób zestaw słuchawkowy do rzeczywistości wirtualnej Meta jest podatny na ataki ransomware
W ramach bezprecedensowych badań nad bezpieczeństwem zestawów słuchawkowych do wirtualnej rzeczywistości badacz Harish Santhanalakshmi Ganesan zademonstrował metodę dostarczania złośliwego oprogramowania do zestawu słuchawkowego Meta Quest 3, podkreślając nową, znaczącą powierzchnię zagrożeń. Rozwój ten oznacza znaczące wejście w dziedzinę ataków wykorzystujących obliczenia przestrzenne, które są stosunkowo rzadkie.
Zainteresowanie Ganesana wzbudziły twierdzenia na Reddicie, w których utrzymywano, że instalowanie złośliwego oprogramowania na Quest 3 VR jest trudne bez włączania trybu programisty. Traktując to jako wyzwanie, postanowił zbadać potencjalne luki w urządzeniu. Jego odkrycia ujawniają niepokojącą metodę, która pozwala na instalację dowolnego pakietu APK na Quest 3, co ułatwia ograniczona wersja projektu Android Open Source Project (AOSP).
Dzięki prostym badaniom w Internecie, w tym samouczkom na YouTube, Ganesan odkrył, że aplikacja z laboratorium aplikacji Meta może zapewnić dostęp do natywnego menedżera plików Androida. Wykorzystując to, pomyślnie zainstalował oprogramowanie ransomware CovidLock na swoim zestawie słuchawkowym. CovidLock jest znany z tego, że atakuje urządzenia z Androidem, podszywając się pod aplikację śledzącą COVID-19 i uzyskując uprawnienia do blokowania użytkowników na ich urządzeniach i wyświetlania notatek o okupie.
Najważniejszym wnioskiem z badań Ganesana nie jest konkretne użyte złośliwe oprogramowanie, ale wykryty przez niego proces, który można wykorzystać do dostarczenia dowolnego złośliwego oprogramowania za pomocą socjotechniki. W wywiadzie dla SecurityWeek wyjaśnił: „To badanie nie dotyczy luki w zabezpieczeniach Meta Quest 3, ale powierzchni ataku, która umożliwia ludziom boczne ładowanie złośliwego oprogramowania bez opcji programistycznych”.
Ganesan nie opublikował szczegółów technicznych swojej metody, uważa jednak, że odtworzenie tego procesu przez szkodliwe podmioty byłoby stosunkowo proste. Sugeruje, że osoby atakujące mogą wykorzystać socjotechnikę, aby nakłonić użytkowników do zainstalowania złośliwych aplikacji na zestawach słuchawkowych Quest 3, potencjalnie zmieniając te aplikacje w administratorów urządzeń bez konieczności korzystania z trybu programisty.
Biorąc pod uwagę, że problem nie wynika z luki technicznej, jest mało prawdopodobne, że Meta wyśle łatkę. Zamiast tego badania Ganesana służą jako krytyczne ostrzeżenie dla użytkowników VR przed niebezpieczeństwami związanymi z atakami socjotechnicznymi. Radzi użytkownikom VR, aby zachowali ostrożność i unikali bocznego ładowania aplikacji, powtarzając porady dotyczące bezpieczeństwa powszechnie udzielane użytkownikom smartfonów.